2022年9月8日，CertiKSkynet天网监测到NewFreeDAO(NFD)项目遭遇了闪电贷攻击。
漏洞在NFD项目部署的一个未经验证的奖励合约中，攻击者利用闪电贷借入NFD代币，并将其发送到攻击合约。随后攻击合约则调用未经验证的奖励合约，向攻击者发送更多的NFD代币。
攻击者在3次攻击中重复这个过程，获取了4481个WBNB，价值约125万美元。
由于攻击者大量抛售NFD代币，该代币的价格已经暴跌超过99%。
攻击步骤
①攻击者部署了一个恶意合约。在同一笔交易中，它调用了以下函数，将自己添加为合约成员。
外媒：尽管受到制裁，币安仍帮助伊朗公司交易了80亿美元:11月4日消息，数据显示，尽管美国制裁旨在切断伊朗与全球金融体系的联系，但自2018年以来，加密交易所币安已经处理了价值80亿美元的伊朗交易。据Chainalysis数据，几乎所有资金（约78亿美元）都在Binance和伊朗最大的加密货币交易所Nobitex之间流动。Nobitex在其网站上提供有关如何规避制裁的指导。通过币安的四分之三的伊朗资金是Tron（应是Tron区块链网络），Nobitex鼓励客户使用Tron进行匿名交易，而不会“因制裁而危及资产”。在美国司法部对币安进行调查之际，币安表示不是一家美国公司，但已采取积极措施限制对伊朗市场的敞口。
路透社审查的数据显示，自2018年以来，总计约29.5亿美元的加密货币直接在伊朗交易所和币安之间转移。伊朗交易所和币安之间通过中介层转移了另外50亿美元的加密货币。Chainalysis数据显示，Nobitex用户于2018年4月开始通过Binance转移比特币。从2020年8月起，Nobitex和Binance之间的Tron交易量激增。数据显示，就在今年10月，2000万美元的Tron直接在Binance和Nobitex之间流动。（路透社）[2022/11/5 12:18:26]
②攻击者执行了三次闪电贷攻击，借助第一笔闪电贷款，借入250个WBNB，并将其交易为6,313,508个NFD代币。
安全团队：BSC链上RSHIB项目发生Rug Pull，代币价格暴跌92%:8月25日消息，安全团队CertiK预警监测显示，BSC链上RSHIB项目发生Rug Pull，RSHIB代币价格暴跌92%。合约部署者移除流动性并向外部账户（EOA）地址发送约47枚BNB。该项目的推特帐户也已被删除。[2022/8/25 12:47:44]
③这些代币被发送到一些未经验证的合约中。
④这调用了0xe2f9d09c，输入NFD代币地址0x0000000000000000000038c63a5d3f206314107a7a9fe8cbba29d629d4f9。
美CFTC结束针对John McAfee的民事诉讼，对其前助理处以14.6万美元罚款:7月19日消息，美国针对已故的John McAfee的民事诉讼已经结束。7月18日，美国CFTC宣布与John McAfee前助理Jimmy Gale Watson达成和解并发布禁令。Watson曾是一名海豹突击队员，从2017年开始担任McAfee的保镖，之后成为其加密货币团队的执行顾问。
CFTC发现，Watson曾帮助McAfee推广可疑代币的ICO，以换取这些代币的未披露奖励。然后，双方会在公开ICO上出售这些资产，将代币“倾销”给不知情的散户投资者。最终CFTC对Watson提出的赔偿只有14.6万美元，并进一步禁止Watson今后从事大宗商品交易。
此前消息，美国SEC赢得其与Jimmy Gale Watson的最终判决。法院裁定，Watson应向美国财政部支付316408美元非法所得，以及59533美元的判决前利息。 美国SEC在2020年的指控中称，Watson协助McAfee在Twitter上推广ICO，但没有披露他因此得到了报酬。判决还永久禁止Watso以专业身份购买、出售或提供数字资产。不过，他可以继续用个人账户买卖数字资产。（The Block）[2022/7/19 2:22:39]
⑤这触发了NFD项目部署的另一个未经验证的奖励合约0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e.0x6811e3b9()。
以太坊L2网络总锁仓量为39.4亿美元:金色财经报道，L2BEAT数据显示，截至目前，以太坊Layer2上总锁仓量为39.4亿美元。近7日涨幅5.82%，其中锁仓量最高的为扩容方案Arbitrum，约20.6亿美元，占比52.28%。其次是Optimism，锁仓量7.51亿美元，占比19.07%。dYdX占据第三，锁仓量6.02亿美元，占比15.29%。[2022/7/9 2:01:17]
之后，未验证的合约实际上从奖励合约中收到了额外的525,283个NFD代币——总计6,838,792个NFD代币，这些代币被发回给了攻击合约。
⑥在上述交易中，NFD合约错误地释放了额外的525,283NFD。因此当攻击者完成攻击时，获取了总计343,323,371个NFD代币，在偿还了最初的250WBNB贷款后，获利4481WBNB，总价值约125万美元。
⑦最后攻击者通过两笔交易，将2,000WBNB换为556,556.72USDT。目前攻击者钱包仍持有2,481WBNB。
漏洞分析
本次攻击事件的漏洞位于NFD项目部署的一个未经验证的奖励合约。由于NFD合约的源代码在BSCScan上未被验证，因此还无法确定攻击者用来利用合约的确切机制。
资金去向
攻击者总共获得了4481个WBNB，并将其中的2000个换成了55.7万枚USDT，剩下的WBNB仍然在攻击者的账户中。
将2000WBNB交易为USDT的两笔交易：
https://bscscan.com/tx/0x8c035fc9c3d944b3dd4a0ea721c119240cb624e79b7625a16173ad6682410599?
https://bscscan.com/tx/0xda4b4de6ecacfe9b8b60167a2010630aeec103ab51920eb2e1b94ba1fef6c95b?
相关地址
攻击者账户：
https://bscscan.com/address/0x22c9736d4fc73a8fa0eb436d2ce919f5849d6fd2?
攻击合约：
https://bscscan.com/address/0xa35ef9fa2f5e0527cb9fbb6f9d3a24cfed948863?
未经验证的奖励合约：
https://bscscan.com/address/0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e?
WBNB-USDT对：
https://bscscan.com/address/0x16b9a82891338f9ba80e2d6970fdda79d1eb0dae?
USDT-NFD对：
https://bscscan.com/address/0x26c0623847637095655b2868c3182b2285bdaeaf?
写在最后
攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会持续于官方公众号发布与项目预警相关的信息。
CertiK的端到端安全解决方案，从智能合约审计和KYC项目背景调查服务，到Skynet天网动态扫描系统和SkyTrace等区块链分析工具，以及漏洞赏金计划，助力每一个项目充分发挥潜力的同时为Web3.0打造用户和投资者高参与的生态系统。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。